Yayasan 0G melaporkan kehilangan $520K akibat peretasan DeFi

Serangan siber pada 0G Foundation telah mengakibatkan pencurian cryptocurrency senilai lebih dari setengah juta dolar, menurut perusahaan tersebut.

Yayasan tersebut, yang sedang membangun apa yang digambarkan sebagai sistem operasi AI terdesentralisasi dan terbuka pertama di dunia, melaporkan bahwa penyerang mencuri 520.010 token $0G yang kemudian dialihkan dan dirutekan melalui Tornado Cash. Kerugian tambahan termasuk 9,93 ether dan sekitar $4.200 dalam USDT, membawa total kerugian yang dikonfirmasi menjadi sekitar $520.000 pada saat pencurian.

Eksploitasi dilacak ke kunci pribadi yang bocor

Menurut yayasan tersebut, penyerang mengeksploitasi fungsi penarikan darurat dalam kontrak hadiah yang terdampak setelah mendapatkan akses ke kunci pribadi yang secara tidak sengaja disimpan di server cloud yang disusupi.

Kunci tersebut terkait dengan instans Alibaba Cloud yang bertanggung jawab untuk mengelola status NFT dan pembaruan hadiah.

"Penyerang mengakses kunci pribadi yang bocor dari instans AliCloud," kata yayasan tersebut, menambahkan bahwa menyimpan kunci pribadi teks biasa secara lokal adalah kegagalan operasional yang kritis, dengan mengatakan, "ini adalah praktik yang sekarang kami ketahui tidak boleh terjadi lagi."

Investigasi lebih lanjut mengungkapkan bahwa pelanggaran tersebut tidak terbatas pada satu server. Yayasan tersebut mengatakan beberapa instans AliCloud disusupi setelah penyerang mengeksploitasi kerentanan kritis dalam kerangka web Next.js yang populer, yang dilacak sebagai CVE-2025-66478, pada 5 Desember. Dengan menggunakan alamat IP internal, penyerang dapat bergerak secara lateral di seluruh sistem, mempengaruhi berbagai layanan.

Ini termasuk layanan penyelarasan, node validator, layanan Gravity NFT, infrastruktur penjualan node, dan beberapa produk ekosistem seperti Compute, Aiverse, Perpdex, dan Ascend.

Namun, yayasan tersebut menegaskan bahwa tidak ada kerugian tambahan yang terkait langsung dengan aset yang dipegang pengguna yang telah diidentifikasi.

CertiK, perusahaan keamanan blockchain, sebelumnya menandai penarikan mencurigakan dari kontrak hadiah terkait 0G, memperkirakan kerugian sesuai dengan angka yang kemudian dikonfirmasi oleh yayasan tersebut.

Apa selanjutnya untuk 0G Foundation?

0G Foundation mengklaim bahwa mereka telah menerapkan langkah-langkah keamanan segera. Organisasi tersebut juga telah menambal kerentanan Next.js dan membangun kembali layanan yang terdampak.

Sebagai bagian dari apa yang dikatakan 0G sedang dilakukan untuk mencegah insiden berulang, yayasan tersebut mengklaim akan memigrasikan semua layanan pembawa kunci ke Trusted Execution Environments (TEEs), menerapkan persyaratan dompet multi-tanda tangan untuk manajemen dana kritis, dan mengadopsi prinsip keamanan zero-trust di seluruh infrastrukturnya.

Insiden peretasan yang dilaporkan 0G Foundation terjadi setelah mereka mengumpulkan lebih dari $290 juta pada November 2024, termasuk putaran pendanaan awal sebesar $40 juta yang dipimpin oleh Hack VC dengan partisipasi dari Delphi Ventures, OKX Ventures, Samsung Next, Animoca Brands, di antara investor lainnya. Pengumpulan dana tersebut menjadikannya $325 juta dalam pendanaan yang dijanjikan untuk platform tersebut.

0G mengakui bahwa pelanggaran tersebut adalah "panggilan bangun yang menyakitkan tetapi diperlukan." Mereka juga berjanji untuk merilis laporan post-mortem lengkap, yang dapat dinantikan oleh komunitasnya untuk mengetahui lebih banyak tentang bagaimana yayasan tersebut kehilangan $520.000 kepada aktor jahat.

Bergabunglah dengan Bybit sekarang dan klaim bonus $50 dalam hitungan menit